Configure o AWS CLI para usar as credenciais do provedor de token do IAM Identity Center com atualização automática de autenticação

Para configurar um perfil do Centro de Identidade do IAM e sso-session para a AWS CLI

1. Reúna as informações do Centro de Identidade do IAM fazendo o seguinte:

   1. No seu portal de AWS acesso, selecione o conjunto de permissões que você usa para desenvolvimento e selecione o link Chaves de acesso.

   2. Na caixa de diálogo Obter credenciais, escolha a guia que corresponde ao seu sistema operacional.

   3. Selecione o método Credenciais do Centro de Identidade do IAM para obter os valores SSO Start URL e SSO Region necessários para executar aws configure sso.

   4. Para obter informações sobre qual valor de escopo registrar, consulte Escopos de acesso do OAuth 2.0 no Guia do usuário do Centro de Identidade do IAM.

2. No terminal de sua preferência, execute o aws configure sso comando e forneça o URL inicial do IAM Identity Center e a AWS região que hospeda o diretório do Identity Center.

   $ aws configure sso
   SSO session name (Recommended): my-sso
   SSO start URL [None]: https://my-sso-portal.awsapps.com/start
   SSO region [None]: us-east-1
   SSO registration scopes [None]: sso:account:access

3. As AWS CLI tentativas de abrir seu navegador padrão e iniciar o processo de login da sua conta do IAM Identity Center.

   Attempting to automatically open the SSO authorization page in your default browser.

   Se AWS CLI não conseguir abrir o navegador, a mensagem a seguir será exibida com instruções sobre como iniciar manualmente o processo de login.

   If the browser does not open or you wish to use a different device to authorize this request, open the following URL:
    
   https://device.sso.us-west-2.amazonaws.com/
   
   Then enter the code:
   
   QCFK-N451

   O IAM Identity Center usa o código para associar a sessão do IAM Identity Center à sessão atual da AWS CLI . A página do navegador do IAM Identity Center solicita que você faça login com suas credenciais do IAM Identity Center. Isso dá permissão para que o AWS CLI recupere e exiba as AWS contas e funções que você está autorizado a usar com o IAM Identity Center.

   nota

   O processo de login pode solicitar que você permita o AWS CLI acesso aos seus dados. Como o AWS CLI é construído sobre o SDK para Python, as mensagens de permissão podem conter variações do botocore nome.

4. AWS CLI Exibe as AWS contas disponíveis para você usar. Se você estiver autorizado a usar somente uma conta, ele AWS CLI selecionará essa conta para você automaticamente e ignorará a solicitação. As AWS contas que estão disponíveis para você usar são determinadas pela configuração do usuário no IAM Identity Center.

   There are 2 AWS accounts available to you.
   > DeveloperAccount, developer-account-admin@example.com (123456789011) 
     ProductionAccount, production-account-admin@example.com (123456789022)

   Use as teclas de seta para selecionar a conta que você deseja usar. O caractere ">" à esquerda aponta para a escolha atual. Pressione ENTER para fazer sua seleção.

5. O AWS CLI confirma sua escolha de conta e exibe as funções do IAM que estão disponíveis para você na conta selecionada. Se a conta selecionada listar somente uma função, ela AWS CLI selecionará essa função para você automaticamente e ignorará a solicitação. Os perfis que estão disponíveis para uso são determinados pela configuração do usuário no IAM Identity Center.

   Using the account ID 123456789011
   There are 2 roles available to you.
   > ReadOnly
     FullAccess

   Use as teclas de seta para selecionar o perfil do IAM que deseja usar e pressione <ENTER>.

6. Especifique o formato de saída padrão, a Região da AWS padrão para enviar comandos e forneça um nome para o perfil para poder fazer referência a ele entre todos os definidos no computador local. No exemplo a seguir, o usuário insere uma região padrão, um formato de saída padrão e o nome do perfil. Como alternativa, se você tiver uma configuração prévia, poderá pressionar <ENTER> para selecionar os valores padrão mostrados entre colchetes. O nome do perfil sugerido é o número de ID da conta seguido de um sublinhado e pelo nome da função.

   CLI default client Region [None]: us-west-2<ENTER>
   CLI default output format [None]: json<ENTER>
   CLI profile name [123456789011_ReadOnly]: my-dev-profile<ENTER>

   nota

   Se você especificar default como nome do perfil, esse perfil se tornará o usado sempre que você executa um AWS CLI comando e não especifica um nome de perfil.

7. Uma mensagem final descreve a configuração do perfil concluída.

   To use this profile, specify the profile name using --profile, as shown:
   
   aws s3 ls --profile my-dev-profile

8. Isso resulta na criação da seção do sso-session e do perfil nomeado no ~/.aws/config com a seguinte aparência:

   [profile my-dev-profile]
   sso_session = my-sso
   sso_account_id = 123456789011
   sso_role_name = readOnly
   region = us-west-2
   output = json
   
   [sso-session my-sso]
   sso_region = us-east-1
   sso_start_url = https://my-sso-portal.awsapps.com/start
   sso_registration_scopes = sso:account:access

   Agora você pode usar essa sso-session e o perfil para solicitar credenciais atualizadas. É necessário usar o comando aws sso login para solicitar e recuperar as credenciais necessárias para executar comandos. Para obter instruções, consulte Usar um perfil nomeado do Centro de Identidade do IAM .